Shai-Hulud: Ang npm Packages Worm Gipasabot

Epekto sa Ehekutibo sa Pag-atake sa Shai-Hulud Supply Chain

Aktibo gihapon ang Shai-Hulud hangtod karon. Kini nga worm nagpadali sa timeline sa impact. Ang kaniadto molungtad og mga semana gamit ang usa ka trojan karon mokatap na sulod sa pipila ka oras. Tungod niini, mas paspas ug mas lisod pugngan ang pagkaylap. Kini mouswag pinaagi sa:

• Pagpangawat sa mga token sa npm publish ug mga sekreto sa GitHub.
• Pagmantala pag-usab sa kaugalingon ngadto sa ubang mga pakete sa npm.
• Pagdugang sa mga malisyoso nga workflow sa GitHub Actions para sa persistence.

Kinsa ang apektado:

Ang bisan unsang team nga mag-install og mga public npm packages maladlad. Dugang pa, ang mga developer nga adunay cached npm o GitHub tokens nag-atubang og taas nga risgo. Ang mga CI runner nga naggamit og lapad nga mga sekreto dali usab nga maladlad.

Risgo sa negosyo

Kusog nga modako ang epekto sa negosyo. Ang gikawat nga mga token mahimong mosangpot sa pag-takeover sa account, pag-hijack sa package, ug bisan sa sayop nga paggamit sa cloud. Dugang pa, ang pagpadayon sa mga workflow sa GitHub nagpalisod sa paglimpyo niini. Busa, kinahanglan isipon sa mga team ang Shai-Hulud isip usa ka nagpadayon nga insidente, dili usa ka sirado nga insidente.

Giunsa Paglihok ang Shai-Hulud Supply Chain Attack sa mga Pakete sa npm

Mga tumong ug motibo sa tig-atake

Ang kampanya nag-optimize alang sa tulo ka butang:

• Ang unang tumong mao ang kawata ang mga kredensyal sa dako nga gidak-on gikan sa mga developer laptop ug CI runners. Apil niini ang mga npm publish token, GitHub token, ug cloud credentials. Sa tinuod lang, daghang mga pag-analisa ang nagpamatuod sa sistematikong pag-ani sa sekreto, sama sa pagpadagan sa TruffleHog ug pag-query sa mga cloud metadata endpoint.
• Ang ikaduhang tumong mao ang awtomatikong mokaylap pinaagi sa pag-abuso sa mga katungod sa pagmantala sa mga nakompromiso nga tigmentinar. Tungod niini, ang usa ka bahin dali nga molapad ngadto sa daghan, tungod kay ang mga bag-ong nataptan nga bersyon sa ubang mga pakete makita nga walay dugang paningkamot sa tawo.
• Ang ikatulong tumong mao ang magpadayon ug mogawas nga kasaligan pinaagi sa imprastraktura sa GitHub. Ang mga tig-atake naghimo og usa ka publikong repo nga ginganlan og "Shai-Hulud" nga adunay doble nga base64 data.json, ug dugang pa, nagtanom sila og workflow nga nag-serialize ${{ toJSON(mga sekreto) }} ug i-post kini sa usa ka static webhook.

Ang lagmit nga benepisyo naglakip sa dugay nga pag-access sa mga registry ug source code, paspas nga pagbalhin sa mga cloud account, ug ang kapilian nga himuong armas ang supply chain. Ang publikong pagreport nagpakita nga ang pribadong mga repo gibalhin ngadto sa publiko nga adunay "-migrasyon" hulapi, nga nagdugang sa pagkaladlad sa datos ug momentum

Sulod sa Shai-Hulud Payload: bundle.js sa mga Pakete sa npm

Ang mga barko sa Shai-Hulud isip usa ka dako, gi-bundle sa Webpack ug giminify pag-ayo JavaScript file (bundle.js, mga 3–3.7 MB) nga mo-execute gikan sa usa ka pagkahuman sa pag-instalar kaw-it package.jsonTungod niini, Ang matag instalasyon awtomatikong mo-trigger sa payload. Kini nga disenyo motago sa mga identifier, mo-compress sa control flow, ug moduso sa tanang logic ngadto sa usa ka artifact nga mo-execute atol sa instalasyon. Kanunay nga gikumpirma sa mga analista ang Webpack bundling, dili kasagaran nga gidak-on sa file, ug ang install-time execution.

Mga kinaiya sa obfuscation ug anti-analysis nga imong makita sa mga sample:

• Gipamubo nga graph sa module nga adunay mga numeric module ID, gamay nga mga komento, ug patag nga control flow. Dugang pa, kini nga istruktura naghimo sa manwal nga pagrepaso nga labi ka lisud.
• Pagtago sa pisi pinaagi sa mga base64 layer ug mga construction helper. Pananglitan, Ang balik-balik nga base64 encoding ug decoding kasagarang makita sa mga exfiltration routines.
• Dinamikong pagpadala pinaagi sa ebalwasyon-mga sumbanan sa estilo ug mga lawas sa gimbuhaton nga namugna, busa nagtugot sa code sa pag-usab sa pamatasan sa runtime.
• Pagsala sa OS nga mas gusto ang Linux ug macOS execution labi na sa mga CI runners ug developer laptops.

Gikan sa usa ka functional nga anggulo, ang bundle kay modular. Ang mga writeup naghulagway sa mga module para sa OS discovery, filesystem ug git secret scans, cloud SDK access, GitHub API operations, ug usa ka propagation engine nga nag-edit sa ubang mga package nga gipanag-iya sa maintainer. Sa tinuod lang, ang StepSecurity ug ReversingLabs parehong nagpasiugda sa usa ka function nga awtomatikong nag-update sa mga package gamit ang malisyosong hook.

Pagpatuman sa Oras sa Pag-instalar sa Shai-Hulud: Giunsa Pag-trigger sa mga Pakete sa npm ang Worm

Ang pag-atake magsugod kon Ang node gipadagan human sa pag-instalar bundle.js. Niini nga punto, ang script mo-initialize ug mo-unpack sa working state sa memorya, nga mag-andam alang sa hingpit nga operasyon sa worm.

Pagdiskobre ug pag-ani

• Ang payload dumps moproseso sa .env ug mo-scan sa mga lokal nga file para sa mga high-entropy nga sekreto ug mga token prefix. Dugang pa, kini mopalapad sa coverage pinaagi sa pagpadagan sa TruffleHog.
• Nangutana kini sa mga cloud metadata endpoint aron mangolekta og mga credential nga dili molungtad og dugay. Pananglitan, mga tawag ngadto sa 169.254.169.254 sa AWS o metadata.google.internal sa GCP kasagarang makita sa mga nataptan nga host.
• Tungod niini, Ang bisan unsang kredensyal nga makit-an magamit dayon sa pagmantala sa bag-ong mga pakete sa npm o pagduso sa mga workflow sa GitHub.

Exfiltration

• Ang worm nagmugna og bag-ong GitHub repo nga ginganlan og Shai Hulud ug nagsulat og double base64-encoded data.json nga adunay mga detalye sa plataporma, mga basura sa palibot, ug mga sekreto. Sama sa makita, kini nga saba nga pamatasan dali ra makit-an kung ang mga tigpanalipod nahibal-an kung asa mangita.
• Nagtanom usab kini og usa ka GitHub Actions workflow, kasagaran sa usa ka branch nga ginganlan og shai-hulud, nga nag-serialize ${{ toJSON(secrets) }} ug i-post ang datos ngadto sa usa ka static webhook. Dugang pa, kini nga workflow magpadayon hangtod nga adunay aktibong motangtang niini.

Pagpahayag

• Sa bisan unsang nadiskobrehan nga npm token, ang payload mo-enumerate sa tanang packages nga gipanag-iya sa nakompromiso nga maintainer. Dayon, kini mokuha sa matag tarball, mo-inject og bundle.js ug usa ka postinstall entry, ug mo-republish sa package.
• Tungod niini, dose-dosenang mga nataptan nga pakete ang mahimong makita sulod lang sa pipila ka oras, nga mopadaghan sa radius sa pagbuto sa tibuok ekosistema.

Pagpadayon ug pagkaladlad

• Ang worm nagpabiling buhi sa mga malisyoso nga workflow ug, sa daghang mga kaso, nagbalhin sa mga pribadong repo ngadto sa publiko gamit ang "-migrasyon" hulapi. Sa kinatibuk-an, kini nagsiguro nga ang tig-atake magpadayon sa usa ka pundasyon ug mapadako ang pagtulo sa datos.

Nota sa pag-ila sa yawe
Kining talagsaong paggamit sa ${{ toJSON(secrets) }} Talagsa ra ang mga workflow sa Actions. Busa, kinahanglan kining isipon sa mga team isip usa ka high-signal indicator atol sa mga pagpangayam.

Sanitized nga workflow pattern nga angay nimong pangitaon

Kining talagsaong paggamit sa sa JSON(mga sekreto) Ang in Actions usa ka taas nga signal indicator niini nga insidente.

Pseudo-kodigo sa taas nga lebel sa pagpalapad (luwas, deskriptibo)